Summary

  • Im September 2026 hatten 15 von 22 geprüften zivilen Bundesbehörden ein erstes Inventar vernetzter IoT- und Betriebstechnikgeräte erstellt. Elf pflegten es, zehn erfassten alle acht erforderlichen Informationsgruppen, und sieben erfüllten alle drei Anforderungen zusammen.
  • Das Wohnungsbauministerium HUD fand mit einer neuen Technik mehr als 160 IoT-Geräte, die im Vorgängersystem fehlten. Handels- und Justizministerium erfassten sämtliche Pflichtfelder, aktualisierten ihre Inventare aber nicht regelmäßig für das ganze Ministerium. Das Office of Management and Budget hatte keine aktualisierte Anweisung für das Haushaltsjahr 2026 erlassen und die Umsetzung nicht mit einer festen Frist überwacht.

Das Gerät fragt nicht nach seiner Inventarnummer

Der GAO-Bericht vom 30. September 2026 befasst sich mit Technik, die in die physische Umgebung eingreift: Sensoren, Gebäudesteuerungen und Spezialgeräte in Laboren und Gesundheitseinrichtungen. Wer sie sichern will, muss wissen, welche Geräte verbunden sind, wer sie verantwortet, welche Softwareversion läuft und wohin sie kommunizieren. Das Office of Management and Budget (OMB) schrieb die Aufgabe bereits im Dezember 2023 vor und präzisierte sie im Januar 2025. Die betroffenen Behörden sollten bis September 2024 ein behördenweites Anfangsinventar haben und es danach aktuell halten.

Zwei Jahre später hatten sieben von 22 Behörden noch kein fertiges Anfangsinventar. Fünfzehn hatten eines; elf hielten es auf dem Laufenden; zehn erfassten alle acht vorgeschriebenen Informationsgruppen. Sieben Behörden aus dieser zweiten Gruppe erfüllten alle drei Bedingungen. Die Zahlen beschreiben überlappende Prüfungen derselben Behörden. Die erstmalige Erfassung ist eine Momentaufnahme. Eine aktualisierte Tabelle mit leeren Kernfeldern hilft ebenfalls wenig, wenn ein Gerät ersetzt oder ein Sicherheitsproblem gemeldet wird.

Die acht Felder lauten Kennung, Beschreibung und Kategorie des Geräts, Systemverantwortlicher oder Sicherheitsbeauftragter, Hersteller, Software- und Firmwareversionen, Netzwerkverbindungen und Schnittstellen sowie Schutzmaßnahmen. Fehlt ein Verantwortlicher, bleibt eine Entscheidung ohne Adressat. Fehlt die Version, lässt sich ein Gerät schwer einer nötigen Aktualisierung zuordnen. Fehlen die Verbindungen, verschwindet ein Teil seiner Beziehung zu anderen Systemen. Ein Inventar benennt die Handlungsmöglichkeiten, nicht bloß die Stückzahl.

HUD lieferte eine messbare Entdeckung. Nach Angaben seiner Vertreter identifizierte ein neues System zur Verwaltung der Hardware mehr als 160 IoT-Geräte, die im alten System nicht gemeldet worden waren. GAO bezeichnet diese 160 Geräte nicht als Angriffsziel oder Schadensfall. Der Befund zeigt, wie stark die Sicht auf vorhandene Technik von der eingesetzten Suchmethode abhängt.

Eine gefüllte Tabelle kann trotzdem von gestern sein

Beim Handelsministerium enthielt das Anfangsinventar sämtliche acht Informationsgruppen. Die einzelnen Abteilungen waren jedoch für ihre Listen zuständig; eine regelmäßige Aktualisierung für das ganze Ministerium fand nicht statt. Auch im Justizministerium waren die Felder vollständig, aber Personalwechsel und knappe Ressourcen verhinderten laufende Pflege. Die Schwierigkeit liegt hier beim Übergang vom Startprojekt zum Betrieb: Jedes neu installierte, ausgetauschte oder entfernte Gerät muss seinen Weg in den gemeinsamen Bestand finden.

Andere Behörden hatten Lücken in den Daten. Das Finanzministerium hatte ein erstes Inventar ohne eine der acht verlangten Informationsgruppen und aktualisierte es nicht regelmäßig. Beim Energieministerium waren vier Gruppen vollständig, eine teilweise und drei fehlten. Beamte begründeten entfernte Angaben mit geringer Aussagekraft oder Sensibilität. Erkennung, Pflege, Datenqualität und Umgang mit sensiblen Informationen sind verschiedene Aufgaben.

Der vollständige offizielle Bericht nennt auch die sieben Behörden, die alle Anforderungen erfüllten: Bildungsministerium, Heimatschutzministerium, Außenministerium, Environmental Protection Agency (EPA), General Services Administration (GSA), NASA und Office of Personnel Management (OPM). Der Erfolg macht die Pflicht praktisch erreichbar. NASA schilderte dennoch ein reales Hindernis: Suchwerkzeuge unterscheiden IT, IoT und Betriebstechnik nicht zuverlässig; aktive Abfragen können empfindliche Anlagen stören. Eine bessere Bestandsaufnahme braucht Methoden, die zu den Geräten passen.

Keine der 22 Behörden meldete eine Ausnahmegenehmigung von den bundesweiten IoT-Sicherheitsregeln. Das ist der gemeldete Stand der Ausnahmen. Ein unbekanntes Gerät kommt gar nicht erst an den Punkt, an dem eine dokumentierte Ausnahme geprüft werden könnte.

Die Zentrale ließ den nächsten Termin offen

Nach GAO hatte OMB keine aktualisierte Anleitung für 2026 herausgegeben und die Inventarpflicht nicht innerhalb einer festgelegten Frist überwacht. Behörden nannten technische Hürden, knappe Ressourcen und konkurrierende Prioritäten. Die zentrale Budget- und Verwaltungsstelle setzt Dringlichkeit und Zeitpunkt; die Behörden müssen Personal und Verfahren organisieren. Ohne neuen Prüftermin bleibt eine unvollständige Liste als Dauerprojekt stehen, während neue Geräte angeschlossen werden.

GAO empfiehlt OMB eine aktualisierte Anleitung mit klarer Priorität, Zeitplan und Aufsicht über die Umsetzung. OMB kommentierte den Berichtsentwurf nicht. Eine datierte Weisung und überprüfbare, laufend gepflegte Gerätedaten würden die Beurteilung ändern. Heng Lus Gedanke, die wirkliche Arbeitsweise hinter institutionellen Beschreibungen zu prüfen, liefert den Blickwinkel; die Behördenfakten stammen aus GAO-Unterlagen.

Sources